Segon extrem VPN: què cobreix i què no

Dos extrems sobre el paper semblen redundància. A la pràctica, una segona adreça només ajuda quan els clients hi poden arribar i quan evita la falla per a la qual us prepareu. Dos servidors darrere de la mateixa connexió d’accés, del mateix compte o de la mateixa xarxa de destinació fallen junts. La pregunta útil és quina falla única elimina el segon extrem.

Compareu què comparteixen tots dos extrems

Llisteu què tenen en comú els dos extrems abans de comptar què dupliquen. La ubicació d’allotjament, el compte del proveïdor, el trànsit ascendent, l’allotjament DNS, la font d’identitat i el recurs privat darrere del túnel representen una dependència compartida o una d’independent. Dues màquines virtuals en una regió comparteixen una caiguda del proveïdor. Dues regions sota un sol compte encara comparteixen la relació de facturació i el pla de control que les crea.

La xarxa de destinació mereix el mateix tracte. Una passarel·la de reserva sana no pot restaurar un NAS que és fora de línia, ni pot arribar a una xarxa d’oficina amb l’enllaç ascendent caigut. Si tots dos extrems acaben a la mateixa subxarxa privada, el segon només afegeix un camí cap a una destinació que ja és el punt únic de falla.

La identitat és la dependència que la gent oblida. Clonar el certificat i la configuració a un segon host crea dos llocs on la mateixa credencial es pot copiar, i no diu res sobre com arriben les revocacions a tots dos.

Decidiu com canvia un client

Un segon extrem només és útil si el client en sap l’existència i el pot triar sense trucar a suport. Els perfils de connexió OpenVPN poden portar diverses línies remote amb una política de selecció, i la majoria de clients ofereixen un perfil alternatiu en un menú. Sigui quin sigui el mecanisme, anoteu quin tenen els vostres usuaris, perquè un perfil que no troben no és una commutació per falla.

Llegiu la documentació del client sobre canvis d’adreça durant una sessió. Algunes implementacions mantenen el par original durant tota la vida del túnel i només consulten les alternatives en reconnectar. Aquesta distinció decideix si un extrem mort produeix una interrupció breu o una sessió que no es recupera mai. Proveu el camí de reconnexió en lloc de suposar que passa.

Una adreça de sortida canviada també trenca l’estat de l’aplicació. La commutació per falla és recuperació, i descriure-la com a continuïtat ininterrompuda crea una expectativa que el transport no pot complir.

Proveu una falla real

Trieu una caiguda controlada i executeu-la de principi a fi, en lloc de confiar en el document de disseny. Atureu l’extrem primari i confirmeu que un client autoritzat arriba a l’aplicació prevista per l’alternativa mentre els clients no autoritzats encara no poden. Anoteu quant va durar la commutació i què va veure l’aplicació.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

La primera ordre confirma que el nom de reserva es resol en alguna cosa encaminable abans que el necessiteu, i és la prova més barata d’aquí. La segona mostra quina interfície faria servir el nucli per a una destinació privada un cop l’alternativa és activa. La tercera dona el registre del client amb el par al qual realment es va connectar, i és l’única prova que la commutació va passar. Fixeu-vos també en el comportament de bloqueig durant el buit, perquè una política que filtra trànsit mentre commuta és pitjor que una interrupció curta.

Després torneu l’original i confirmeu si el client torna. Una reversió que passa per accident és un comportament que ningú no havia planificat.

Anoteu què compra la segona adreça

Resumiu la cobertura en un paràgraf: quina falla elimina el segon extrem, quines falles comparteix amb el primer i de quines suposicions depèn la commutació. Nomeu el mecanisme del costat del client, així com les rutes privades i el comportament DNS que han d’existir als dos llocs. Una sortida pública a internet no substitueix una passarel·la privada, i un document que les tracta com a intercanviables serà cregut. Afegiu la prova de recuperació que vau fer, amb la data i el resultat.

La independència d’un servidor no és independència del compte compartit ni de la xarxa de destinació. El paràgraf que ho diu en veu alta és el que impedeix vendre internament una segona adreça com a alta disponibilitat. També diu al següent operador què cal comprovar primer quan la parella falla alhora.